# Cyber : fréquence, sévérité et tarification Sciences actuarielles · Master 1 > Modéliser les sinistres cyber : données rares, queues lourdes, expositions et contrôles de sécurité. ## Introduction L'assurance cyber couvre les pertes liées aux attaques informatiques, aux fuites de données et aux interruptions d'exploitation. Branche récente et en évolution rapide, elle souffre d'un historique court, de données hétérogènes et d'une menace qui se transforme. Le cadre actuariel standard reste celui du modèle fréquence-sévérité, mais avec des difficultés spécifiques : queues très lourdes, dépendance entre assurés, effets de mesures de sécurité difficiles à quantifier. Le deck décrit les composantes de perte, la modélisation de la fréquence et de la sévérité, et les variables d'exposition et de sécurité utilisées en souscription. ## Objectifs d'apprentissage - Distinguer les postes de pertes first party et third party - Modéliser fréquence et sévérité avec les limites des données cyber - Choisir des variables d'exposition et de sécurité pertinentes - Expliquer l'impact des franchises, délais de carence et sous-limites ## Concepts clés - **Pertes first party** : Frais de gestion de crise et d'investigation forensique, restauration des données, interruption d'exploitation, éventuelle extorsion. Ils concernent directement l'assuré. - **Pertes third party** : Responsabilité envers des tiers après une fuite de données ou une atteinte : frais de défense, indemnités, notification aux personnes concernées. L'assurabilité des sanctions dépend du droit applicable et des conditions. - **Fréquence** : Souvent modélisée par une loi de comptage (Poisson, binomiale négative) avec des facteurs : secteur, taille, dépendance numérique, mesures de sécurité. La rareté des événements implique une forte incertitude. - **Sévérité** : Distribution à queue lourde (lognormale, Pareto, combinaison corps-queue avec la théorie des valeurs extrêmes). Quelques sinistres majeurs dominent le coût total. - **Exposition et sécurité** : Le chiffre d'affaires, le nombre de données personnelles et la dépendance aux systèmes mesurent l'exposition. L'authentification multi-facteurs, les sauvegardes hors ligne et la détection sur les terminaux servent de facteurs de contrôle, validés par questionnaire et scan externe. ## Conclusion La tarification cyber repose sur les mêmes principes que les autres branches de dommages, mais dans un contexte de données rares, de queues extrêmes et de menace changeante. La qualité de la souscription, les conditions de police et les marges de prudence sont aussi importantes que le modèle statistique. ## Cartes ### Quels sont les deux grands blocs de pertes cyber ? First party (pertes de l'assuré) et third party (responsabilité vis-à-vis des tiers). ### Citer trois postes first party. Investigation forensique, restauration des données, interruption d'exploitation. ### Quelle loi de comptage pour la fréquence ? Poisson ou binomiale négative si surdispersion. ### Pourquoi la sévérité est-elle à queue lourde ? Un seul incident majeur peut paralyser une entreprise pendant des semaines, d'où des montants extrêmes. ### Quel outil pour modéliser la queue ? La loi de Pareto généralisée au-delà d'un seuil (méthode POT). ### Quelle variable d'exposition simple est utilisée ? Le chiffre d'affaires ou la taille de la base de données personnelles. ### Citer des contrôles de sécurité utilisés en souscription. Authentification multi-facteurs, sauvegardes isolées, détection et réponse sur terminaux, formation. ### Quel est le rôle du délai de carence ? Il exclut les premières heures d'interruption d'exploitation, ce qui limite la fréquence des petites pertes. ### Pourquoi les données sont-elles peu fiables ? Historique court, sous-déclaration, nouveauté des attaques et changements de contrats. ### Pourquoi appliquer une marge de prudence ? Parce que les paramètres sont incertains et que la menace évolue plus vite que la base statistique. ## Glossaire - **First party** : Pertes directes subies par l'assuré. - **Third party** : Responsabilité envers les tiers lésés. - **Rançongiciel** : Logiciel malveillant chiffrant les données contre demande de rançon. - **Délai de carence** : Période initiale non indemnisée en cas d'interruption. - **Sous-limite** : Plafond spécifique à une garantie à l'intérieur de la limite globale. - **Scan externe** : Analyse automatique des vulnérabilités visibles depuis Internet. https://ruvy.ch/decks/-P5D-Yl1tqegHlgIc1h8